Tag: Persoonsgegeven

About Persoonsgegeven

Subscribe Feeds

Afgifte van persoonsgegevens bij oplichting

Geplaatst op in Ondernemingsvrijheid, Privacy, 12 reacties

Regelmatig krijg ik vragen als de volgende:

Ik ben opgelicht op internet. Via een forum vond ik lotgenoten die met dezelfde persoon te maken hebben gehad, en wij hebben gezamenlijk geprobeerd de oplichter op te sporen. Uiteindelijk komen we uit bij het IP-adres van de oplichter, en nu willen we hem aanklagen om ons geld terug te krijgen. De provider wil de NAW-gegevens niet afgeven, omdat zij zeggen dat dit tegen de privacywet is. Maar zij zijn dit toch verplicht op grond van het Lycos/Pessers-arrest?

Inderdaad is het te kort door de bocht om te zeggen dat je als provider nóóit persoonsgegevens mag afgeven aan particuliere partijen. De Hoge Raad heeft immers bepaald dat dit wél moet wanneer (via een vierstappentoets) blijkt dat kort gezegd het belang van de eiser duidelijk bewezen is en zwaarder weegt dan de privacy.

Op grond van deze regels werd Google in 2008 verplicht de persoonsgegevens van een gebruiker af te geven aan een bedrijf waarvan bedrijfsgeheimen zouden zijn gestolen. Deze zouden zijn geforward naar een Gmail-account, en het bedrijf wilde weten wie daar achter zat. In november 2009 moest Ziggo onthullen welke gebruiker illegaal filmpjes had geupload naar 123video.nl. Dit omdat Kim Holland de videosite hierover had gedaagd. Dit vonnis werd eind 2010 in hoger beroep vernietigd omdat de rechtbank te snel de eis had toegewezen, maar het Hof bevestigde het principe dat private partijen persoonsgegevens mogen opeisen.

De belangrijkste eis, en meteen bij oplichting de meest problematische, is nagaan of de claim van de klager voldoende aannemelijk is. Bij auteursrechtschendingen is dat nog wel te doen; een rechthebbende kan het originele werk laten zien in hoog formaat bijvoorbeeld.

Bij oplichting is dat ontzettend lastig. Lang niet altijd is werkelijk sprake van oplichting. Of men heeft het verkeerde IP-adres gevonden. En wat dan? Hoe kan de provider inschatten wie er gelijk heeft?

Belangrijker: niets van het bewijs dat de klager aan kan dragen, is door de provider te verifiëren. Bij auteursrechten kun je nog eens op een website kijken van een fotograaf, of bellen met de filmmaatschappij. Bij smaad kun je de uiting zelf lezen en je afvragen of dat smadelijk is. Maar bij een e-mailcorrespondentie en de melding “en toen reageerde hij niet meer” kun je eenvoudigweg niets.

Gewoon afgaan op het woord van de klager is niet verstandig. Het komt vaak voor dat mensen anderen valselijk beschuldigen om zo maar gegevens van die anderen te krijgen.

Dit is natuurlijk buitengewoon frustrerend voor al die mensen die wél opgelicht zijn en met veel moeite bíjna de oplichter te pakken hebben en dan door een provider eenvoudig de deur gewezen worden. Maar ik weet niet hoe het anders zou kunnen, het potentieel voor misbruik is te groot.

Arnoud

Joodse organisaties klagen Google aan om AutoComplete-suggesties

Geplaatst op in Ondernemingsvrijheid, 43 reacties

joods-auto-aanvullen.pngGoogle is door een aantal Joodse organisaties aangeklaagd omdat de Franse versie van de zoekmachine te vaak automatisch het woord ‘juif’ (jood) zou suggereren bij het zoeken naar naar joodse mensen. Dat meldde Nu.nl gisteren. De omschrijving “de wet die de samenstelling van een databank met etnische gegevens verbiedt” gaf me zó veel jeuk dat ik er op Koninginnedag over moest bloggen. Want het gaat gewoon over de Wet bescherming persoonsgegevens, laten we het niet enger maken dan het is.

Die wet verbiedt inderdaad het aanleggen van databanken (bestanden) met ‘bijzondere’ persoonsgegevens, waaronder ethische afkomst, religie of ras. Je mag dus niet zomaar bijhouden of een bepaald persoon een Jood of een jood is (ja, dat maakt uit). Uitgezonderd enkele nu niet relevante situaties heb je gewoon uitdrukkelijke toestemming nodig als je dat soort gegevens wil verwerken. En ja, de definitie van “verwerken” is zó breed dat Google’s bijelkaargooien en correleren er ook onder valt.

Er is één uitzondering die Google misschien kan helpen: als de gegevens door de betrokkene zelf duidelijk openbaar zijn gemaakt, is het verder verwerken daarvan minder snel een probleem. Zeggen dat de paus katholiek is, is dus niet verboden en je hoeft hem niet vooraf te vragen of je dat mag doen. Google haalt haar informatie uit openbare bronnen, en je mag in het algemeen denk ik wel aannemen dat als die bronnen tot een autocomplete-suggestie leiden, die bronnen legitiem zijn en dus zich op de betrokkene zelf baseren. Ik kan me moeilijk voorstellen dat iemand zijn Joodse/joodse identiteit geheim houdt terwijl Google het wél weet, en voldoende zeker van z’n zaak is om er een AutoComplete suggestie van te maken. Maar ik geef wel meteen toe dat het zeker geen gelopen race is met dit argument.

Als Google dit argument niet kan gebruiken en ook geen toestemming kan laten zien, dan hebben ze inderdaad een probleem. Het verweer “het is een automatisch proces” zal ze echt niet helpen, want het is hún automatisch proces en dat moeten ze maar privacytechnisch op orde krijgen dan. Ja, zo rolt de privacywet.

Ook het verweer dat zij slechts informatie van anderen doorgeven, zal niet opgaan. Bij een snippet met een zoekresultaat waarin staat dat iemand Jood is, zal dat wellicht nog helpen, want Google heeft geen controle over wat mensen op webpagina’s zetten. Maar over de AutoComplete-suggesties hebben ze wél controle. Dat hebben ze al vaak genoeg laten zien wanneer er weer eens “aanstootgevende of anderszins bezwaarlijke” termen geblokkeerd werden. Van porno tot torrent, er is heel wat waarbij de zoekmachine ineens geen suggesties meer heeft.

Dat mag, en zakelijk gezien is het verstandig voor Google (want tieten en piraterij zijn niet goed voor het imago), maar het leidt wél tot aansprakelijkheid voor hetgeen ze dan nog doorlaten. Zo werd het bedrijf in 2011 in Italië veroordeeld voor een autosuggestie van “oplichter” bij iemands naam. Ook in Japan werd gevonnist dat het automatisch suggereren van negatieve termen smaad opleverde (of privacyschending, het artikel is niet helemaal duidelijk).

Ik snap het punt van de aanklagers dus, en juridisch hebben ze zeker een goede kans. Ik blijf alleen wel steeds meer zitten met het gevoel dat de privacywet zo de innovatie wel érg in de weg gaat zitten.

Arnoud<br/> PS: dat nummer rechtsonder is op veler verzoek toegevoegd als referentie. Wie geen lange URL wil noemen in een paper of scriptie, kan volstaan met het AE-nummer en/of datum.

Wijziging privacyverklaring zonder te informeren

Geplaatst op in Privacy, 10 reacties

privacy-statement.jpgRegelmatig zie ik in privacyverklaringen zinnen als deze: 

    <li>Bedrijf kan deze Privacyverklaring wijzigen. Wij adviseren u daarom regelmatig deze Privacyverklaring na te lezen op eventuele wijzigingen.</li>
<li>Bedrijf kan op elk gewenst moment de inhoud van deze privacyverklaring wijzigen indien wij bijvoorbeeld andere voorwaarden gaan hanteren.</li>
<li>Als wij deze Privacyverklaring wijzigen, zullen wij maatregelen treffen om u te informeren door een bericht hierover op de site te plaatsen en door de gewijzigde</li>
<li>Nu en dan kunnen wij deze On line Privacyverklaring wijzigen.</li>

En dan ga je je afvragen, kán dat eigenlijk wel?

De privacyverklaring is eigenlijk maar een raar beestje. Veel mensen denken dat als een site zo’n verklaring heeft, het wel goed zit met hun privacy. Maar dat is zeker geen automatisme. Een privacyverklaring legt uit wat je doet op het gebied van privacy en persoonsgegevens, en kan dus ook uitleggen dat je alle gegevens harvest die je kunt vinden en combineert tot een gedetailleerd profiel inclusief seksuele voorkeuren.

Tegelijkertijd stelt die verklaring niets voor omdat je niets mag doen als daar geen toestemming (of andere wettelijke grondslag) voor is. En die toestemming kun je niet bedingen in een privacyverklaring, ook niet als je daar akkoord op vraagt bij het inschrijven. De enige rol die de privacyverklaring kan spelen is mensen informeren over wat de toestemming gaat betekenen, maar je moet echt apart nog een keer die toestemming vragen.

In dat licht is het geen probleem dat een privacyverklaring zomaar te veranderen is. Wil je meer uitleggen of een tekst anders insteken, dan ga gerust je gang. Maar je krijgt er geen enkel aanvullend recht door. In je privacyverklaring zetten dat je vanaf nu Bonuskaartgegevens gaat gebruiken voor persoonsgebonden aanbiedingen is dus niet genoeg om dat ook werkelijk te moeten doen.

In 2009 werd het bedrijf Advance op de vingers getikt door het College bescherming persoonsgegevens, omdat ze geen uitdrukkelijke toestemming hadden gevraagd voor gebruik van diverse gegevens bij de dienst Je echte leeftijd. De zin “Je Echte Leeftijd behoudt zich het recht voor om wijzigingen aan te brengen in de privacyverklaring” hielp ze daar niets bij.

Ga je dus nieuwe dingen doen, dan zul je daar toestemming voor moeten verkrijgen én je privacyverklaring daarop moeten aanpassen. Alleen maar de tekst aanpassen is niet genoeg. En zelfs als je nieuwe dingen gaat doen die binnen een verkregen toestemming vallen, zul je meer moeten doen dan alleen die tekst aanpassen. Je zult echt mensen erop moeten wijzen dat je de tekst aangepast hebt, en wel zo dat zij afdoende geïnformeerd worden daardoor.

Arnoud

De privacy van de dader in beeld

Geplaatst op in Iusmentis, Privacy, Security, 18 reacties

Deeltje zoveel in de vraag: Mag je camerabeelden gebruiken als bewijs in een strafzaak? Hier is veel over te doen, omdat camerabeelden worden gezien als “bijzondere persoonsgegevens” en daarmee de privacywet in werking treedt. De wet kent dan ook extra waarborgen voordat de politie die gegevens mag gebruiken.

Eén zo’n waarborg is dat de politie niet zomaar mag vragen om camerabeelden. Zij moet de juiste wettelijke grondslag hebben om beelden te mogen vorderen, omdat die wettelijke grondslag ervoor zorgt dat de belangenafweging juist wordt uitgevoerd. Zomaar vragen verstoort die afweging. Zo kan een betrokkene zich verplicht voelen de beelden af te geven omdat een agent het vraagt, zonder te beseffen dat dat eigenlijk niet hoeft.

Maar wat nu als de beelden toch bij de politie terechtgekomen zijn zonder zo’n vordering? Kan de dader dan ongestraft vrijuit? Nou, zo makkelijk gaat dat ook weer niet. Want die regel die ik net uitlegde, is er om de cameraman te beschermen en niet om de dader te beschermen. Zoals de rechter hier de wetgever samenvat:

Degene die de politie informatie verschafte kon immers – voordat daarvoor een vordering vereist was – een probleem krijgen met de persoon wiens gegevens werden verstrekt.

Zijn de beelden al te makkelijk opgevraagd, dan kan de cameraman daar een probleem van maken, bijvoorbeeld een klacht bij de korpschef. Maar de verdachte kan niets met die situatie, want zijn belang hier is irrelevant.

Maar eh die privacywet dan? Die verdachte staat er toch op en daarmee vallen de beelden toch onder de Wet bescherming persoonsgegevens?

Nou nee, zegt de rechter: de verdachte kán niet in zijn privacy zijn aangetast – omdat hij immers ontkende überhaupt in de juwelierszaak te zijn geweest!

Arnoud

Adres van stichting met persoonsnaam telt niet als persoonsgegeven

Geplaatst op in Privacy, 13 reacties

google-streetview.jpgGoogle mag gegevens rechtspersonen openbaar maken, las ik bij Rechtspraak.nl. De rechtbank Amsterdam vonniste vorige week over een zaak waarbij je via Google Maps en Google Street View het vestigingsadres van een stichting kon vinden.

Nou is dat op zich geen privacyschending, want dat speelt pas bij adressen en dergelijke van natuurlijke personen en een stichting is dat niet. Maar in de naam van deze stichting komen de namen van twee natuurlijke personen voor die wonen op het vestigingsadres van de stichting. Daarmee is dus zowel de naam van de stichting als vestigingsadres stiekem toch een persoonsgegeven, en er was geen toestemming om die persoonsgegevens op internet te zetten, aldus deze bestuurders.

Inderdaad, die zeer letterlijke en daarmee zéér verstrekkende lezing van de Wbp die mij al tijden de keel uitkomt. Het kan niet waar zijn dat het zó makkelijk is om allerlei gegevens weg te krijgen omdat je er direct of indirect aan te herkennen zijn.

De kantonrechter is gelukkig verrassend nuchter:

Het enkel vermelden van een straatnaam en huisnummer met daarbij een niet erg gedetailleerde luchtfoto van het pand dat op die locatie staat, zonder vermelding van gegevens over de bewoner, kan naar het voorlopig oordeel van de voorzieningenrechter niet worden beschouwd als een gegeven dat naar zijn aard op een persoon betrekking heeft. De door Google verschafte informatie bevat geen faciliteit waarmee deze informatie aan een bepaalde persoon valt te koppelen.

Hiermee komt dus enige praktische redelijkheid terug in het privacyrecht. Niet “met die letters kun je mijn naam maken” is genoeg om van een privacyschending te kunnen spreken, er moet een duidelijke aanwijzing zijn dat men daadwerkelijk een persoon op het oog had.

Maar die stichtingsnaam dan, waar letterlijk hun achternamen in stonden? Nou,

De naam van een rechtspersoon waarin de naam van een natuurlijk persoon is verwerkt kan niet zonder meer beschouwd worden als een gegeven dat betrekking heeft op die natuurlijke persoon en daarmee onder de werkingsfeer van de Wbp worden gebracht. De band tussen een natuurlijk persoon en de rechtspersoon die zijn naam draagt kan immers zeer divers zijn.

Ook hier dus een “laten we wel wezen”-toets. Theoretisch gezien zijn hiermee allerlei privacygevaren denkbaar, maar in de praktijk zullen mensen achter deze vermelding niet meer zoeken dan “goh daar zit een stichting en die heet X”. Een dergelijk generiek stukje informatie kan niet en hoort niet onder de privacywet te vallen.

Dit soort conflicten gaan we vaker krijgen nu meer en meer data op internet ontsloten wordt en daarbij ook direct of indirect mensen hun naam of adres terug zien. Het gaat mij écht te ver om dat allemaal uit te kunnen poetsen met de privacywet, zeker als het gaat om archieven of diensten die een algemeen nut hebben (en ja ook Street View valt daaronder). Omgekeerd snap ik ook wel dat er situaties zijn die echt te ver gaan, maar waar je de lijn precies moet trekken daar ben ik nog niet uit. In ieder geval niet hier.

Wie heeft een suggestie, hoe krijg je een goede balans tussen het algemeen nut en de privacy?

Arnoud

Privacyfittie: Google versus de Europese Commissie

Geplaatst op in Privacy, 21 reacties

google-privacy.pngDit gaat nog leuk worden: Google en de Europese Commissie kwamen ongeveer tegelijkertijd met nieuwe privacyregels, maar ze gaan elk compléét de andere kant op. De EC heeft een machtig wapen ingevoerd: boetes tot 5% van de jaaromzet voor wie de privacywet negeert. Maar Google heeft ook een machtig wapen: uitsluiting van alle Googlediensten als hun privacyregels je niet bevallen.

Google heeft nu ongeveer zestig verschillende privacybeleiden en wil daar vanaf. Loffelijk, want er rammelde nogal wat aan die teksten. Dus nu maken ze één geconsolideerde tekst. En die rammelt gewoon in z’n eentje.

Korte samenvatting: wij verkrijgen gegevens van u, van anderen en wij leiden gegevens af van wat u allemaal doet (en wat u gebruikt en waar u bent). Wij gebruiken die voor onze diensten (joh), met name om je advertenties op maat voor te schotelen. We mogen informatie combineren, dus als we uit Gmail je echte naam halen dan mogen we die aan je andere profielen plakken en dat heb je maar te accepteren. Oh, en we geven geen informatie aan derden tenzij die zorgvuldig geselecteerd zijn en die zich beloven te gedragen. Bevalt u dat niet (“People have different privacy concerns”), dan kunt u opt-outen. Niet van alles; u kunt “bepaalde” zaken uitzetten, niet meer. Maar u mag natuurlijk altijd naar Bing.

Ongetwijfeld volstrekt toevallig verscheen het officiële voorstel voor de nieuwe Privacyverordening. Geen gedoe meer met nationale wetten maar gewoon één wet die in één klap alles regelt, zonder mogelijkheid om daar van af te wijken of aanvullende regels te stellen. Het zal vast geen verrassing zijn dat die regels compleet de andere kant op gaan dan waar Google heen wil.

Hoofdregel is dat je zo beperkt mogelijk met persoonsgegevens moet omgaan. Je moet specifieke en welomschreven doelen hebben, en gegevens mag je dan alléén daarvoor gebruiken. Daarbij moet je eigenlijk altijd toestemming hebben. Er is en blijft een uitzondering voor een eigen noodzaak, als die zwaarder weegt dan de privacy.

Er komen strakke informatieplichten, nog strakker dan we al hadden. Je moet kunnen inzien wat men over je weet (en dat moet je elektronisch kunnen opvragen), en je moet expliciet te horen krijgen hoe je daar correcties of verwijdering van kunt realiseren. Dat recht van verwijdering hadden we al, maar wordt nu enigszins melodramatisch omgedoopt tot “recht te worden vergeten” – de partij die je gegevens opsloeg, moet alle redelijke stappen nemen om je gegevens te wissen, inclusief verzoeken bij derden die de gegevens hebben overgenomen. Ja, daarmee bedoelen ze Google en andere mirrors, zoekindexen en archieven.

In de praktijk zal dat recht geen bal veranderen ten opzichte van wat we hebben (en maar goed ook). Er is namelijk een uitzondering: je hoeft gegevens niet te verwijderen als je gebruik onder de vrije meningsuiting valt. En in 95% van de gevallen willen mensen hun gegevens namelijk niet uit een databank hebben maar uit een forum, nieuwsartikel of blogarchief omdat de daarin geuite feiten hen niet meer bevallen.

En zoals gezegd staan er forse boetebepalingen in die de Commissie kan inzetten als bedrijven de regels negeren. Expliciet zijn die ook bedoeld voor internationale (lees: Amerikaanse) bedrijven die menen dat zij niet onder Europees recht vallen. Dus dat gaat nog leuk worden, want ik zie Google écht niet zomaar omrollen omdat de EC meent dat privacy een groot goed is en targeted advertenties eigenlijk maar smoezelige dingen zijn. Omgekeerd gaat de EC ook niet snel zeggen “oh, jullie zitten in Californië, nee laat maar dan, wij gaan eerst achter Ilse aan”.

Eerlijk gezegd vind ik beide aanpakken best wel slecht. Googles “wij mogen alles en als u dat niet bevalt gaat u maar lekker Bingen” is natuurlijk zo generiek dat het niet leuk meer is. Afgezien van zalvende woorden en een paar optoutaanvinkvakjes ben je op die manier compleet aan de zoekmachine overgeleverd. Maar wat de EC van plan is, zie ik ook niet werken. Zó veel invloed en controle bij mensen neerleggen is onwerkbaar, nog afgezien van het punt dat driekwart van de mensen (en dan ben ik positief) niet snapt wat er nu eigenlijk gebeurt en dus op voorhand overal maar mee akkoord gaat “anders doet ie het niet”.

Ik blijf erbij dat het beter is om het zo te doen:

  1. Je moet altijd dat categorisch kunnen weigeren (en toch de dienst kunnen gebruiken, mits dan tegen betaling);
  2. Je moet volledig disclosen wat je doet en waarom;
  3. Mensen moeten inzage krijgen in de data die je hebt en hoe je daar conclusies uit trekt;
  4. Als het niet klopt, moet je elke benadeelde burger 150 euro per fout voor betalen.

Arnoud

Die privacyverklaring van de Albert Heijn Bonuskaart

Geplaatst op in Privacy, 45 reacties

albert-heijn-bonuskaart.jpgIn het voorjaar van 2012 gaat Albert Heijn een grote groep Bonuskaartgebruikers extra waarderen en bedanken met aanbiedingen op maat, meldde de grootgrutter. Vertaling: op basis van je geregistreerde aankopen krijg je aanbiedingen op veel gekochte producten, gepersonaliseerde aanbiedingen dus. Hm, heb ik daar ooit toestemming gegeven, vroeg ik me af.

Het privacybeleid er dus even bijgepakt, en daar staat inderdaad letterlijk in dat men dit gaat doen:

Uw persoonsgegevens worden door AH verwerkt … voor het verstrekken van (eventueel op basis van uw aankopen) kortingen en voordelen;

en als ik dan bij het Cbp controleer (registratienummer 1062641, dieplinken niet mogelijk want daar is het nog 1998) zie ik keurig hetzelfde staan:

Doel(en) van verwerking: … De AH Bonus Kaarthouder (eventueel individueel op basis van zijn koopgedrag) informeren over de producten en diensten, die door of via Albert Heijn on- danwel offline worden aangeboden, alsmede voordelen en kortingen te kunnen verstrekken.

Iets zegt me alleen dat die tekst er vorige week nog niet stond. Dus eens zien hoe dat eerder zat. Gelukkig had het Internet Archive enkele oude teksten nog. In de oudste beschikbare versie (april 2010) vermeldde men héél wat anders:

Albert Heijn behandelt alle persoonsgegevens en uw spaar-, en boodschappengegevens strikt vertrouwelijk en gebruikt deze uitsluitend om u de voordelen te bieden die met de AH Bonuskaart verbonden zijn.

En ja, dat is ook hoe ik het me herinner uit 2006 of daaromtrent toen ik die kaart kreeg. De voordelen die je tóen kreeg waren korting op de Bonusaanbiedingen en een poging tot terugbezorgen van je verloren sleutelbos met bonuskaart eraan (en Justitie laten meekijken als dat gevorderd werd). Pas als je je apart registreerde bij de Mijn Voordeel dienst, kreeg je regelmatig persoonlijke kortingen, recepten en speciale acties.

Nu wordt dus in feite Mijn Voordeel over alle klanten uitgerold, als ik het goed zie. En dát is privacytechnisch iets nieuws. Toestemming is namelijk doelgebonden(*), oftewel dat je instemt met opslag in ruil voor toegang tot Bonusaanbiedingen, wil nog niet zeggen dat je instemt met profilering en gepersonaliseerde aanbiedingen.

Ik zie dus niet hoe de AH haar plan kan invoeren zonder apart aan bonuskaarthouders (pardon “houders van een AH Bonus Kaart®”) hiervoor toestemming te vragen. Dat zal niet zo moeilijk zijn natuurlijk gezien de worst (of andere voordeeltjes) die men de klant voorhoudt, maar het moet wel.

Arnoud<br/> Off-topic frustratie: mijn boek is ooit afgekeurd bij een universiteit als lesboek enkel omdat het hoofdstuk over privacy niet de term ‘doelbinding’ gebruikte.

“Volg-me-nietregister voldoet niet aan nieuwe privacywet”

Geplaatst op in Privacy, 9 reacties

Het cookieicoon is leuk, maar wie zich aan de nieuwe privacywet wil gaan houden heeft er niets aan. Dat is ongeveer de samenvatting van het advies dat de Europese privacytoezichthouders (pdf) vorige week uitbrachten.

Al een hele tijd wordt er gesteggeld over de nieuwe privacywet, met name op het gebied van cookies. Doel van de nieuwe privacyrichtlijn is namelijk onder meer het tracken en profilen van burgers aan banden te leggen. Daar is straks altijd toestemming voor nodig, ook (juist!) als dat langs indirecte weg gebeurt. Precies, via cookies dus.

Wie de privacyrichtlijn letterlijk leest – en zeker het Nederlandse wetsvoorstel dat erop gebaseerd is – ziet dat het er eigenlijk op neerkomt dat je voor elk cookie toestemming moet vragen als dat cookie ingezet wordt bij profiling of tracking. En dat gaat dus niet werken.

De marketingbranche heeft een alternatief ontwikkeld, en wel het icoon rechtsboven. Dit komt dan op of bij een advertentieblokje te staan. Wie zo’n advertentie ziet, kan op het icoon klikken en gaat dan naar Your Online Choices, waar hij kan zien welke cookies er al bezig zijn hem te tracken en welke firma’s dat allemaal (willen) doen. Tevens kan daar dan een einde aan worden gemaakt.

Volgens de privacytoezichthouders is dit echter absoluut onvoldoende. Ten eerste snapt op dit moment niemand wat dat icoon betekent, dus je wordt niet (zoals wettelijk vereist) adequaat geïnformeerd over wat er allemaal gebeurt. Ten tweede wordt alleen gesproken van “advertenties” terwijl er eigenlijk “gepersonaliseerde advertenties” zou moeten staan.

Maar, het allerbelangrijkste: zo’n icoon is natuurlijk een opt-out terwijl de wet een opt-in eist. Je bent al gedragsmatig geprofileerd tegen de tijd dat je dat icoon ziet, en daar heb je op dat moment nog geen toestemming voor gegeven.

Daar is natuurlijk wel een draai aan te geven: toon eerst alleen generieke advertenties, en bied het icoon als optie om expliciet het profileren/tracken aan te zetten zodat je alleen nog maar relevante advertenties kunt zien. Maar is “geen Libresseadvertenties meer voor mannen” genoeg incentive om naar zo’n site te gaan?

Nog even afgezien van het praktische punt dat de opt-out op die site niet adequaat blijkt te werken, en dat als ie dat wél doet mensen (net als bij het Bel-me-nietregister) massaal gaan opt-outen zonder aanziens des persoonsadvertentienetwerks zodat dan effectief het hele targeted advertising op z’n gat gaat.

Hebben jullie jezelf al ontvolgd op Your Online Choices? Of juist expliciet een volging aangezet?

Arnoud

Waarom verandert KLM steeds zijn prijzen bij mijn bezoeken?

Geplaatst op in Privacy, 9 reacties

klm-wereld-deal-aanbiedingen.jpgBij Luuk Koelman las ik over zijn frustratie met steeds wijzigende prijzen bij vervoersbedrijven:

Heb je bijvoorbeeld vijf keer dezelfde reis gecheckt, schotelt KLM je bij de zesde keer de dubbele prijs voor. Om vervolgens, bij de zevende keer weer de oude prijs te tonen. Een slimme manier om de twijfelde klant over de streep te trekken. Ik zie ze ertoe in staat, want de reisbranche is gek op ip-adressen.

Mag dat? Nou ja, in principe wel. Een bedrijf is niet verplicht om iedere klant dezelfde prijs te bieden, of zelfs maar dezelfde klant steeds dezelfde prijs. Formeel is een aanbod (zoals “vlieg naar New York voor 200 euro”) geldig totdat het is verworpen, en het afhaken bij het boekingsproces kun je zien als een “verwerping”. Je mag daarna dus een nieuw aanbod doen en dat mag gerust anders zijn.

Hier is het echter niet een verkoper zelf die ter plekke een mooie offerte in elkaar draait. Het is een geautomatiseerd proces, gebaseerd op onder meer je IP-adres, cookies die ze hebben achtergelaten en daaraan gekoppelde profielgegevens. En dan wordt het interessant, want dan kun je als bezoeker je op de Wet bescherming persoonsgegevens beroepen. Zo’n automatisch proces is immers een “verwerking van persoonsgegevens” en dan heb je allerlei rechten.

Je kunt dus KLM vragen wat ze van jou weten én hoe ze erbij komen dat de prijs soms ineens omhoog schiet. Ja, ook dat laatste. Immers, bij het inzagerecht onder de Wbp hoort ook

Desgevraagd doet de verantwoordelijke mededelingen omtrent de logica die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens.

En die logica is nu net wat je hier wilt weten: wat is de logica achter vijf keer te horen dat het 100 euro kost, de zesde keer dat het 400 is en de zevende dat het weer 100 euro is?

Ik twijfel alleen of het antwoord – als je dat al krijgt – verder komt dan “op basis van uw profiel en overige relevante factoren bepalen we de best passende aanbieding”. Of, zoals Facebook deed, “dat mogen we niet zeggen op grond van de wet op de handelsgeheimen”.

Arnoud

Brein wint zaak over naw-gegevens van e-paymentprovider

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 14 reacties

betalen-payment-provider.pngStichting Brein heeft een rechtszaak tegen Techno Design gewonnen, meldde Tweakers gisteren. Techno Design, bij trouwe lezers bekend van de ZoekMP3-zaak, blijkt tegenwoordig een digitale betalingsprovider en leverde diensten aan torrentsite www.greece-forever.info. Brein wilde – en kreeg – de NAW-gegevens plus IP- en bankrekeningnummers van de contractspartij.

OMGWTFBBQ persoonsgegevens privacy verwacht u misschien nu te horen. Nou nee. Het vonnis is juridisch volstrekt in lijn met wat de Hoge Raad in Lycos/Pessers bepaalde: als je identificerende gegevens van iemand hebt, en die iemand handelt onrechtmatig tegenover een derde, dan kan je verplicht zijn die gegevens af te geven aan die derde.

Daar zit wel een privacytoets op, maar die valt in dit geval vrij eenvoudig in het voordeel van Brein uit. De torrentsite is een bedrijf, en bedrijven moeten sowieso van de wet al hun adresgegevens op hun site zetten (art. 3:15d BW). Er is dus geen reden om anoniem te mogen blijven.

De zaak is wel opmerkelijk omdat deze eis van Brein in september de nodige ophef veroorzaakte. Brein had toen gemeld dat ze een paymentprovider hadden overtuigd, maar Techno Design sprak dat tegen. Brein zou tegen de afspraken in publiek zijn gegaan over een vrijwillige afgifte en directeur Dros meende dat Brein “gewoonweg procedures wil voeren en media-aandacht wenst te krijgen”. Volgens Brein lag dat volstrekt anders en was de procedure noodzakelijk.

Op zich ben ik dus totaal niet verrast door deze uitspraak. Je kunt je nog afvragen welke partijen nu nog meer in aanmerking komen voor deze medewerkingsplicht: de domeinnaamhouder natuurlijk ook, en waarschijnlijk ook de accessprovider via wiens netwerk de site wordt beheerd. Maar wie leveren er nog meer relevante diensten?

Wel blijft lastig dat de Lycos/Pessers regels niet eisen dat de rechter er tussen moet gaan zitten. De persoon met de gegevens moet zélf beoordelen of aan de toets is voldaan. Maakt hij die afweging verkeerd, dan handelt hij onrechtmatig en moet hij de schade vergoeden die de derde lijdt door het niet krijgen van de gegevens. In het geval van Techno Design komt dat neer op ” 1.466,81 aan advocaatkosten, maar ik zie het wel gebeuren dat een rechthebbende een concrete schadepost neerlegt.

(Ik weet niet of ik liever een gerechtelijke toets heb elke keer; in theorie is dat perfect natuurlijk maar de rechtbank zit al zo verstopt.)

Arnoud